Nouvelles fonctionnalités et feuille de route

Ces derniers mois, l'équipe Ostorlab a travaillé dur pour ajouter de nouvelles fonctionnalités. Certaines sont déjà en production, d'autres le seront dans les semaines et mois à venir.

La fonctionnalité la plus intéressante sur laquelle nous avons travaillé concerne des travaux majeurs sur le scan backend. Ostorlab est désormais capable de parcourir les endpoints HTML, avec la prise en charge des sites web riches en JavaScript et des applications monopages (SPA) basées sur des frameworks comme Angular, React ou Vue.js.

Le nouveau backend est complété par un nouveau scanner de Cross Site Scripting (XSS) basé sur Chrome headless et un nouveau scanner backend utilisant une approche probabiliste inédite. Le nouveau scanner backend prend en charge l'injection SQL dans plusieurs contextes (clause where, clause sort, group by, string...), l'injection de template Jinja et l'injection de commandes, et nous prévoyons d'ajouter la prise en charge de plus de 100 autres vulnérabilités backend dans les mois à venir, comme l'injection de template Mako ou l'injection d'expressions Spring, etc.

Ostorlab a également procédé à une refonte majeure de son infrastructure, en changeant son ordonnanceur de scans, afin d'offrir une scalabilité et une robustesse accrues.

Parmi les autres changements figurent de multiples corrections de bugs, des ajustements d'interface, des corrections de faux positifs et de nouvelles règles de détection, comme des règles de configuration de la sécurité réseau.

Dans les mois à venir, l'équipe Ostorlab se concentrera sur la livraison de nouvelles fonctionnalités ou l'extension du support des fonctionnalités existantes. Tous les scans entreprise exposeront une section Artifact regroupant les logs de trafic, les captures d'écran, le code source décompilé, etc. La fonctionnalité est presque terminée et arrivera en production dès la semaine prochaine.

L'équipe Ostorlab va également concentrer ses efforts sur l'amélioration du support de Xamarin. Le moteur de taint ajoutera la prise en charge du .Net IL et de la décompilation de code source. Le scanner backend continuera sa progression en ajoutant davantage de règles et en améliorant la détection des XSS persistants et des XSS via postMessage.

L'équipe Ostorlab accueille avec plaisir tous les retours et se fera un plaisir de répondre à toutes vos questions.